Die JSON-API (JSON-RPC) der Weboberfläche von FortiAnalyzer und FortiManager kodiert Ausgaben nicht korrekt. Ein Angreifer ohne Anmeldung kann dadurch mit einer präparierten HTTP-Anfrage Code oder Befehle ausführen – sofern die standardmäßig deaktivierte JSON-API in einem Admin-Profil freigeschaltet ist. Fortinet hat am 10.11.2026 die Fixversion 7.6.8 veröffentlicht; für die 8.0-Zweige und FortiAnalyzer-BigData sind 8.0.3 bzw. 7.6.3 angekündigt, bis dahin gilt der Workaround. Eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenFortinet beschreibt eine JSON-Injection in der JRPC-API der Weboberfläche: Ausgaben werden nicht korrekt kodiert bzw. maskiert (CWE-116, Improper Encoding or Escaping of Output). Ein nicht authentifizierter Angreifer kann so über eine präparierte HTTP-Anfrage Code oder Befehle ausführen. Betroffen sind laut Fortinet nur Systeme, auf denen die JSON-API in einem Admin-Profil aktiviert ist – standardmäßig ist sie deaktiviert. Fortinet hat die Lücke intern gefunden und nennt keine weiteren technischen Details.
| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiAnalyzer / FortiManager 8.0 | 8.0.0 bis 8.0.2 | 8.0.3 (angekündigt) · bis dahin Workaround |
| FortiAnalyzer / FortiManager 7.6 | 7.6.0 bis 7.6.7 | 7.6.8 |
| FortiAnalyzer Cloud / FortiManager Cloud 8.0 | 8.0.1 bis 8.0.2 | 8.0.3 (angekündigt) · bis dahin Workaround |
| FortiAnalyzer Cloud / FortiManager Cloud 7.6 | 7.6.0 bis 7.6.7 | 7.6.8 |
| FortiAnalyzer-BigData 7.6 | 7.6.0 bis 7.6.2 | 7.6.3 (angekündigt) · bis dahin Workaround |
Angaben laut Fortinet-Advisory FG-IR-26-219. Die Zweige 7.4 und 7.2 aller genannten Produkte sind nicht betroffen. Fortinet nennt einen Workaround: die JSON-API im Admin-Profil abschalten (set rpc-permit none). Zusätzlich führt das Advisory FortiSASE-Sovereign 25, 25.3 und 25.4 (alle Versionen, Migration auf eine behobene Version) auf; 26.2 ist laut Fortinet bereits behoben.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die Firewall-Verwaltung oder die Log-Plattform kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit vor Patch, Patch vor Entwarnung.
8.0.0–8.0.2 und 7.6.0–7.6.7 (BigData 7.6.0–7.6.2) sind betroffen. Prüfen, ob in einem Admin-Profil die JSON-API aktiviert ist, und klären, von wo die Weboberfläche erreichbar ist.7.6.8 oder neuer aktualisieren. Für 8.0 (8.0.3) und BigData (7.6.3) sind die Fixversionen angekündigt – nach Erscheinen zügig einspielen. Vorher ein Konfigurations-Backup sichern.config system admin profile → edit <Profil> → set rpc-permit none → end. Vorher klären, welche Automatisierungen die API nutzen. Die Weboberfläche zusätzlich nur aus dem Verwaltungsnetz erreichbar machen.Zur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen.
Wichtig: FortiManager hält Konfigurationen und Zugangsdaten aller verwalteten Firewalls, FortiAnalyzer die Protokolle des gesamten Netzes. Wer diese Systeme übernimmt, steuert das Firewall-Netz und kann Spuren verwischen.
Fortinet PSIRT FG-IR-26-219 (10.11.2026, Fixversionen, Workaround, CVSS 9,8) · NVD (CVSS 3.1 Basiswert 9,8) · CISA KEV (Stand 11.11.2026: nicht gelistet). Stand 11.11.2026. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Eine JSON-RPC-Anfrage von einer unbekannten Adresse. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.